信息安全综合培训.ppt

1、信息安全综合培训,广东大学生信息安全系列技术讲座2011 QQ：9838308,黑夜给了我黑色的眼睛，我却用它来寻找光明。 二十世纪最伟大的朦胧派诗人 顾城,什么是黑客,Hacker - 黑客 热衷研究、撰写程序的专才，且必须具备乐于追根究底、穷究问题的特质。 在黑客圈中，hacker一词无疑是带有正面的意义，例如system hacker熟悉操作系统的设计与维护；password hacker精于找出使用者的密码；若是computer hacker则是通晓计算机，可让计算机乖乖听话的高手；software hacker。 黑客基本上是一项业余嗜好，通常是出于自己的兴趣，而非为了赚钱或工作需要

2、。,理解黑客,Cracker骇客 以破解各种加密或有限制的商业软件为乐趣的人,这些以破解(Crack)最新版本的软件为己任的人,从某些角度来说是一种义务性的、发泄性的,他们讲究Crack的艺术性和完整性,从文化上体现的是计算机大众化。他们以年轻人为主,对软件的商业化怀有敌意。,理解黑客,Hacker以严格的、天才般的思维感触这世界,他们以漂亮、简洁、完美的编程为自豪,以发现系统级别的Bug为乐趣,以突破各种安全防范为资本,他们研究的范围一般在突破(Hack):网络系统、长途电话系统、 PGP加密系统、信用卡识别系统、RAS系统、计算机病毒、XXX级别的图像、无线系统以及身份识别系统等等。严格来

3、说真正的Hacker突破系统以后不破坏系统, 对原系统留下后门以后, 不再进行干扰, 他们认为破坏系统对一个Hacker来说是种侮辱。,黑客十戒,1、你不得使用计算机伤害他人 2、你不得干涉他人的计算机工作 3、你不得查看他人的计算机文件 4、你不得使用计算机进行盗窃 5、你不得使用计算机提交错误的证据 6、你不得复制或使用你未付款的有专利权的软件 7、你不得在未获授权或未提供适当赔偿的前提下，使用他人的计算机资源 8、你不得窃用他人的智力成果 9、你应该考虑你所编写的程序或你正在设计的系统的社会后果 10、你在使用计算机时，应考虑并尊重人类 计算机道德协会（Computer Ethics I

4、nstitute）,黑客戒律,1.不恶意破坏任何的系统，这样作只会给你带来麻烦。恶意破坏它人的软体将导致法律责任，如果你只是使用电脑，那仅为非法使用!注意：千万不要破坏别人的软件或资料! 2.不修改任何的系统文件，如果你是为了要进入系统而修改它，请在达到目的后将它改回原状。 3.不要轻易的将你要Hack的网站告诉你不信任的朋友。 4.不要在bbs上谈论你Hack的任何事情。 5.在Post文章的时候不要使用真名。 6.正在入侵的时候，不要随意离开你的电脑。 7.不要侵入或破坏政府机关的主机。,黑客戒律,8.不在电话中谈论你Hack的任何事情。 9.将你的笔记放在安全的地方。 10.想要成为Ha

5、cker就要真正的Hacking，读遍所有有关系统安全或系统漏洞的文件(英文快点学好)! 11.已侵入电脑中的帐号不得清除或修改。 12。不得修改系统档案，如果为了隐藏自己的侵入而作的修改则不在此限，但仍须维持原来系统的安全性，不得因得到系统的控制权而将门户大开! 13.不将你已破解的帐号分享与你的朋友。,常见入侵手段,网络,主机,应用,内网,互联网,共享攻击 嗅探攻击 ARP IP仿冒 DoS/DDOS 网络设备攻击 扫描攻击,Windows,UNIX,其他,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击 代码攻击

6、数据库注入 社会工程学 邮件攻击 应用缺陷,网络攻击原理与防护-共享环境下的局域网,共享攻击 嗅探攻击 ARP IP仿冒 DoS/DDOS 网络设备攻击 扫描攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击 代码攻击 数据库注入 社会工程学 邮件攻击 应用缺陷,网络攻击原理与防护-交换环境下的局域网,共享攻击 嗅探攻击 ARP IP仿冒 DoS/DDOS 网络设备攻击 扫描攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击 代码攻击 数据

7、库注入 社会工程学 邮件攻击 应用缺陷,网络攻击原理与防护-交换环境下的互联网,共享攻击 嗅探攻击 ARP IP仿冒 DoS/DDOS 网络设备攻击 扫描攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击 代码攻击 数据库注入 社会工程学 邮件攻击 应用缺陷,网络攻击原理与防护-防御环境下的互联网,共享攻击 嗅探攻击 ARP IP仿冒 DoS/DDOS 网络设备攻击 扫描攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击 代码攻击 数据库注

8、入 社会工程学 邮件攻击 应用缺陷,网络攻击原理与防护-纵深防御环境下的互联网,共享攻击 嗅探攻击 ARP IP仿冒 DoS/DDOS 网络设备攻击 扫描攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击,漏洞攻击 口令攻击 病毒攻击 木马、后门 配置错误 溢出攻击 代码攻击 数据库注入 社会工程学 邮件攻击 应用缺陷,矛与盾,VLAN控制性措施 防火墙控制性措施 防病毒系统预防性措施 IDS 检测性措施 IPS 控制性措施/检测性措施 安全策略预防性措施 安全审计检测性措施 桌面系统预防性措施 SOC预防性措施 灾难恢复与备份预防性措施,矛与盾,CA认证控制性措施 蜜罐检测性

9、措施 法律法规威慑性措施 规章、制度威慑性措施 ,Windows系统攻击原理与防护,攻击,防范,审计,漏洞攻击,系统补丁,IDS,口令攻击,策略-强口令,安全日志/IDS,病毒攻击,防病毒系统,防病毒系统日志,木马、后门,防病毒/使用规范,系统日志/IDS,配置错误,系统补丁/使用规范,系统日志日志,溢出攻击,系统补丁/策略配置,日志/IDS,端口攻击,防火墙/IPSec,日志,应用攻击,应用补丁/安全配置,应用日志,强化认证,强化认证,强化物理网络基础设施,Windows系统安全检查列表,Windows系统安全检查列表,Windows系统安全检查列表,Windows系统安全检查列表,WEB漏

10、洞介绍,物理路径泄露： 一般是由于WEB服务器处理用户请求出错导致的，如通过提交一个超长的请求，或者是某个精心构造的特殊请求，亦或是请求一个WEB 服务器上不存在的文件。这些请求都有一个共同特点，那就是被请求的文件肯定属于CGI脚本，而不是静态HTML 页面。还有一种情况，就是WEB服务器的某些显示环境变量的程序错误的输出了WEB服务器的物理路径，这应该算是设计上的问题。 CGI源代码泄露： CGI源代码泄露的原因比较多，例如大小写，编码解码，附加特殊字符或精心构造的特殊请求等都可能导致CGI源代码泄露。 目录遍历： 目录遍历对于WEB服务器来说并不多见，通过对任意目录附加“./”，或者是在有

11、特殊意义的目录附加“./”，或者是附加“./”的一些变形，如“.”或“./”甚至其编码，都可能导致目录遍历。前一种情况并不多见，但是后面的几种情况就常见得多，去年非常流行的IIS 二次解码漏洞和UNICODE 解码漏洞都可以看作是变形后的编码。,WEB漏洞介绍,执行任意命令： 执行任意命令即执行任意操作系统命令，主要包括两种情况。一是通过遍历目录，如前面提到的二次解码和UNICODE 解码漏洞，来执行系统命令。另外一种就是WEB服务器把用户提交的请求作为SSI 指令解析，因此导致执行任意命令。 缓冲区溢出： 缓冲区溢出漏洞想必大家都很熟悉，无非是WEB服务器没有对用户提交的超长请求没有进行合适

12、的处理，这种请求可能包括超长URL，超长HTTP Header域，或者是其它超长的数据。这种漏洞可能导致执行任意命令或者是拒绝服务，这一般取决于构造的数据。 拒绝服务： 拒绝服务产生的原因多种多样，主要包括超长URL，特殊目录，超长HTTP Header 域，畸形HTTP Header 域或者是DOS 设备文件等。由于WEB 服务器在处理这些特殊请求时不知所措或者是处理方式不当，因此出错终止或挂起。,WEB漏洞介绍,条件竞争： 条件竞争主要针对一些管理服务器而言，这类服务器一般是以system或root身份运行的。当它们需要使用一些临时文件，而在对这些文件进行写操作之前，却没有对文件的属性进行

13、检查，一般可能导致重要系统文件被重写，甚至获得系统控制权。 跨站脚本执行漏洞： 由于网页可以包含由服务器生成的、并且由客户机浏览器解释的文本和HTML 标记。如果不可信的内容被引入到动态页面中，则无论是网站还是客户机都没有足够的信息识别这种情况并采取保护措施。攻击者如果知道某一网站上的应用程序接收跨站点脚本的提交，他就可以在网上上提交可以完成攻击的脚本，如JavaScript、VBScript、ActiveX、HTML 或Flash 等内容，普通用户一旦点击了网页上这些攻击者提交的脚本，那么就会在用户客户机上执行，完成从截获帐户、更改用户设置、窃取和篡改cookie 到虚假广告在内的种种攻击行

14、为。,WEB漏洞介绍,SQL 注入： 对于和后台数据库产生交互的网页，如果没有对用户输入数据的合法性进行全面的判断，就会使应用程序存在安全隐患。用户可以在可以提交正常数据的URL 或者表单输入框中提交一段精心构造的数据库查询代码，使后台应用执行攻击着的SQL 代码，攻击者根据程序返回的结果，获得某些他想得知的敏感数据，如管理员密码，保密商业资料等。,WEB漏洞发现方法,一种方法是当黑客利用这些漏洞攻击你的服务器后你就自然明白了； 主动去发现漏洞：就是使用隐患扫描工具来对你的服务器进行扫描，从而发现漏洞。 好的隐患扫描工具能够模拟黑客的行为，对系统设置进行攻击测试，以帮助管理员在黑客攻击之前，找

15、出网络中存在的漏洞。,IIS配置最佳推荐,1. 保持Windows升级: 你必须在第一时间及时地更新所有的升级，并为系统打好一切补丁。考虑将所有的更新下载到你网络上的一个专用的服务器上，并在该机器上以Web的形式将文件发布出来。通过这些工作，你可以防止你的Web服务器接受直接的Internet访问。 2. 使用IIS防范工具: 这个工具有许多实用的优点，然而，请慎重的使用这个工具。如果你的Web服务器和其他服务器相互作用，请首先测试一下防范工具，以确定它已经被正确的配置，保证其不会影响Web服务器与其他服务器之间的通讯。 3. 移除缺省的Web站点: 很多攻击者瞄准inetpub这个文件夹，并

16、在里面放置一些后门工具，从而造成服务器的瘫痪。防止这种攻击最简单的方法就是在IIS里将缺省的站点禁用。然后，新建一个站点，并禁用不必要的组件。将你真实的Web站点指向另一个分区的文件夹，且必须包含安全的NTFS权限。,IIS配置最佳推荐,4. 如果你并不需要FTP和SMTP服务，请卸载它们: 进入计算机的最简单途径就是通过FTP访问。FTP本身就是被设计满足简单读/写访问的，如果你执行身份认证，你会发现你的用户名和密码都是通过明文的形式在网络上传播的。SMTP是另一种允许到文件夹的写权限的服务。通过禁用这两项服务，你能避免更多的黑客攻击。 5. 有规则地检查你的管理员组和服务: 6. 严格控制

17、服务器的写入的访问权限: 这听起来很容易，然而，在大学校园里，一个Web服务器实际上是有很多作者的。教职人员都希望让他们的课堂信息能被远程学生访问。职员们则希望与其他的职员共享他们的工作信息。服务器上的文件夹可能出现极其危险的访问权限。将这些信息共享或是传播出去的一个途径是安装第2个服务器以提供专门的共享和存储目的，然后配置你的Web服务器来指向共享服务器。这个步骤能让网络管理员将Web服务器本身的写权限仅仅限制给管理员组。 7. 设置复杂的密码:,IIS配置最佳推荐,8. 减少/排除Web服务器上的共享: 如果网络管理员是唯一拥有Web服务器写权限的人，就没有理由让任何共享存在。共享是对黑客

18、最大的诱惑。此外，通过运行一个简单的循环批处理文件，黑客能够察看一个IP地址列表，利用命令寻找Everyone/完全控制权限的共享。 9. 禁用TCP/IP协议中的NetBIOS: 这是残忍的。很多用户希望通过UNC路径名访问Web服务器。随着NETBIOS被禁用，他们便不能这么做了。另一方面，随着NETBIOS被禁用，黑客就不能看到你局域网上的资源了。这是一把双刃剑，如果网络管理员部署了这个工具，下一步便是如何教育Web用户如何在NETBIOS失效的情况下发布信息。 10. 使用TCP端口阻塞: 这是另一个残忍的工具。如果你熟悉每个通过合法原因访问你服务器的TCP端口，那么你可以进入你网络接

19、口卡的属性选项卡，选择绑定的TCP/IP协议，阻塞所有你不需要的端口。你必须小心的使用这一工具，因为你并不希望将自己锁在Web服务器之外，特别是在当你需要远程登陆服务器的情况下。要得到TCP端口的详细细节，点击这里。,IIS配置最佳推荐,11. 仔细检查*.bat和*.exe 文件: 每周搜索一次*.bat 和*.exe文件，检查服务器上是否存在黑客最喜欢，而对你来说将是一场恶梦的可执行文件。在这些破坏性的文件中，也许有一些是*.reg文件。如果你右击并选择编辑，你可以发现黑客已经制造并能让他们能进入你系统的注册表文件。你可以删除这些没任何意义但却会给入侵者带来便利的主键。 12. 管理IIS目录安全: IIS目录安全允许你拒绝特定的IP地址、子网甚至是域名。作为选择，我选择了一个被称作WhosOn的软件，它让我能够了解哪些IP地址正在试图访问服务器上的特定文件。WhosOn列出了一系列的异常。如果你发现一个家伙正在试图访问你的cmd.exe，你可以选择拒绝这个用户访问Web服务器。当然，在一个繁忙的